آژانس امنیت سایبری و زیرساخت آمریکا (CISA) یک آسیب‌پذیری بحرانی در افزونه Mirasvit Cache Warmer، یک افزونه محبوب کش صفحه کامل (full-page cache) برای پلتفرم Magento، را به فهرست آسیب‌پذیری‌های شناخته‌شده مورد بهره‌برداری (KEV) خود اضافه کرد. این آسیب‌پذیری با شناسه CVE-2026-45247 و امتیاز بحرانی ۹.۸ از ۱۰، ناشی از بی‌سریال‌سازی داده‌های غیرقابل اعتماد (deserialization of untrusted data) است و به مهاجمان احراز هویت‌نشده اجازه می‌دهد از طریق ارسال یک کوکی CacheWarmer دستکاری‌شده، کد PHP دلخواه را از راه دور روی سرور هدف اجرا کنند. این نقص تمام نسخه‌های افزونه پیش از نسخه ۱.۱۱.۱۲ را تحت تأثیر قرار می‌دهد و وصله‌های امنیتی آن در ۲۵ مه ۲۰۲۶ منتشر شده‌اند.
شرکت امنیتی هلندی Sansec اعلام کرد که حدود ۶,۰۰۰ فروشگاه آنلاین از افزونه‌های Mirasvit استفاده می‌کنند، هرچند تعداد واقعی احتمالاً بیشتر است. شرکت Imperva (متعلق به Thales) نیز فعالیت‌های حمله فعال را رصد کرده که در آن‌ها بارهای مخرب (payloads) رمزگذاری‌شده با Base64 از طریق درخواست‌های HTTP مخرب ارسال می‌شوند تا توابعی مانند ()system را برای اجرای دستورات دلخواه فراخوانی کنند. این حملات عمدتاً سایت‌های بازی و تجاری را در آمریکا، بریتانیا، فرانسه و استرالیا هدف قرار داده‌اند. در پی این تهدید فعال، سازمان‌های دولتی فدرال آمریکا موظف شده‌اند تا ششم ژوئن ۲۰۲۶ وصله‌های امنیتی را اعمال کنند.
کلمات کلیدی : آسیب‌پذیری Mirasvit Cache Warmer, افزونه Magento, CVE-2026-45247, اجرای کد از راه دور, بی‌سریال‌سازی داده‌های غیرقابل اعتماد, CISA KEV
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.